Node.jsの全バージョンに脆弱性、17日に対策済みバージョンを配信予定 5
ストーリー by hylom
ご注意を 部門より
ご注意を 部門より
Anonymous Coward曰く、
Node.jsのLTSを含む全バージョンに影響する脆弱性が発見された（Node.js公式サイトでの発表）。これを受けて、12月17日に現行でサポートされているバージョンすべてで修正版がリリースされるとのこと。
脆弱性の内容はパッケージマネージャのnpm v6.13.3でアクセスできないはずのディレクトリにアクセスできる、package.jsonのbinディレクトリに悪意のもとに改造されたcliがインストールされてしまうとかいうことらしい。総じて容易に悪用できるような仕様ではないと考えているそうだが、npm社で検証中とのこと。併せて npm社のアドバイザリに従ってnpmを6.13.4にアップデートしてくれということらしい。
サプライチェーン (スコア:1)
リモートからなんかされるとかいうわけじゃないのね。
https://forest.watch.impress.co.jp/docs/news/1224385.html [impress.co.jp]
パッケージにトラップ仕込まれたらそれだけで大事なんだが、
この脆弱性でもっと深刻な被害が出る可能性があるといったところか。